Resiliencia operativa: DORA, NIS 2 e ISO 22301 en un solo lugar.

Por qué un programa, y no tres

El instinto dentro de la mayoría de las organizaciones es tratar ISO 22301, NIS 2 y DORA como tres proyectos de cumplimiento separados, a menudo a cargo de tres equipos distintos: continuidad de negocio, operaciones de seguridad y una función de regulación financiera o de riesgos. Esa es la forma más cara de hacerlo. Terminas con tres análisis de impacto en el negocio que no coinciden sobre qué servicios son críticos, tres conjuntos de objetivos de recuperación que nadie concilia y tres calendarios de ejercicios que agotan a las mismas personas. Los auditores detectan las costuras de inmediato.

Los marcos no son competidores. ISO 22301 te da el sistema de gestión: el análisis de impacto en el negocio (BIA), los objetivos de tiempo de recuperación y de punto de recuperación, los planes de continuidad y de recuperación, los ejercicios y el bucle de revisión por la dirección. NIS 2 y DORA no sustituyen nada de eso. Añaden obligaciones por encima, sobre todo en torno a la notificación de incidentes, el aseguramiento de la cadena de suministro y (para DORA) un régimen de pruebas específico. Si tu BCMS está bien construido, las capas regulatorias se acoplan a él en lugar de duplicarlo.

Construye primero la columna vertebral. El curso ISO 22301 Lead Implementer es el que te enseña a levantar el sistema de gestión del que cuelga todo lo demás; si solo necesitas entender la estructura y el vocabulario, comienza con el curso ISO 22301 Foundation.

Qué añade realmente cada marco

La forma honesta de leer los tres es como un núcleo operativo más dos capas regulatorias. ISO 22301 es el núcleo porque es el único de los tres que prescribe cómo construir y mantener la propia capacidad de continuidad. NIS 2 y DORA dan por supuesto que esa capacidad existe y luego imponen deberes encima: a quién debes informar cuando algo se rompe, con qué rapidez y cómo debes demostrar que la capacidad funciona.

Lee la tabla de arriba abajo y el diseño se vuelve evidente. Implementas ISO 22301 una vez. NIS 2 y DORA te dicen entonces qué evidencia quiere ver el regulador de ese único sistema, y DORA añade una disciplina de pruebas que va más allá de los ejercicios de simulación (tabletop) que ISO 22301 espera.

Cómo funciona en la operación

En términos del día a día, la integración vive en tres artefactos, y acertar con ellos es la mayor parte del trabajo. El primero es un catálogo de servicios y un BIA únicos y autorizados. Decide una sola vez qué servicios son críticos, cuál es su tolerancia a la disrupción y de qué dependen. Cada marco lee entonces de esa única fuente. Si tu alcance de NIS 2 y tu lista de funciones críticas o importantes de DORA no coinciden con tu BIA de ISO 22301, ya has perdido el argumento de la auditoría antes de que empiece.

El segundo es una cadena de incidentes unificada. ISO 22301 quiere que detectes, respondas e invoques los planes de continuidad. NIS 2 y DORA quieren que notifiques, contra reloj, a una autoridad competente. Construye un único proceso de detección y triaje cuya salida alimente tanto la respuesta de continuidad interna como el flujo de notificación regulatoria. El reloj de notificación arranca en el momento del conocimiento, así que el cuello de botella rara vez es el plan de continuidad; es la decisión de si un evento es notificable y la velocidad para redactar la notificación temprana. Las plantillas de notificación previamente redactadas y un responsable de escalado claro valen más que cualquier herramienta aquí.

El tercer artefacto es el programa de pruebas y ejercicios, y aquí es donde DORA aprieta más fuerte. Los ejercicios de ISO 22301 validan los planes; DORA exige un programa de pruebas documentado y, para las entidades significativas, pruebas de penetración basadas en amenazas en un ciclo plurianual. El curso DORA Lead Manager cubre el régimen de pruebas y el registro de terceros de ICT con la profundidad que exige la regulación, mientras que el curso Lead Operational Resilience Manager es el que está diseñado específicamente para gestionar los tres marcos como un único programa.

La decisión: certificar, alinear o ambas

Una pregunta habitual es si necesitas la certificación ISO 22301 para satisfacer NIS 2 o DORA. No la necesitas. Ninguna regulación exige el certificado. Pero la norma es el modelo más ampliamente reconocido para la capacidad que ambas regulaciones dan por supuesta, así que la mayoría de los equipos se alinean con ISO 22301 incluso cuando eligen no certificarse. La decisión se divide con claridad: alinéate con ISO 22301 para obtener un BCMS coherente y defendible; certifícate por encima solo si un cliente, una licitación o un consejo quiere un aseguramiento de terceros sobre ello.

Si decides buscar el certificado, comprende la perspectiva de la auditoría desde ambos lados de la mesa. Los implementadores construyen el sistema; los auditores comprueban si se sostiene.

Para realizar la auditoría de certificación (interna o como organismo de certificación), el curso ISO 22301 Lead Auditor enseña la metodología de auditoría y cómo evaluar un BCMS frente a la norma, que también es la forma más rápida de aprender con qué evidencia se juzgará tu propio programa.

Dónde fallan los programas

Los fallos recurrentes son predecibles, y casi todos provienen de tratar los marcos como separados en lugar de en capas.

1. Tres BIA que no coinciden. Continuidad, seguridad y finanzas definen la criticidad de forma distinta cada uno. Corrígelo exigiendo un único BIA que las tres funciones firmen.
2. Planes que pasan el ejercicio pero fallan en el evento. Los ejercicios de simulación (tabletop) que recorren una presentación de diapositivas no demuestran nada. Prueba la invocación, no la narración: haz realmente la conmutación por error, restaura realmente desde la copia de seguridad, contacta realmente con las personas del árbol de llamadas.
3. Confundir las funciones de continuidad, recuperación y respuesta a incidentes. La continuidad de negocio mantiene el servicio en marcha, la recuperación ante desastres restaura la tecnología y la respuesta a incidentes contiene la causa. Son disciplinas distintas que deben traspasarse el control de forma limpia.
4. Pasar por alto el reloj de notificación. El plan de continuidad funcionó pero nadie presentó a tiempo la alerta temprana. La notificación regulatoria es una obligación separada, con un plazo acotado, y necesita su propio responsable.
5. Tratar la gestión de crisis como una ocurrencia tardía. Cuando un incidente escala, la toma de decisiones, no la recuperación técnica, es el punto de fallo.

Dos de esos fallos tienen remedios dedicados. El curso Lead Disaster Recovery Manager separa la recuperación tecnológica de la continuidad de negocio para que las dos dejen de confundirse, y el curso Certified Lead Crisis Manager construye la estructura de mando, comunicación y decisión que aguanta cuando un incidente se convierte en una crisis.

La realidad de la sala de auditoría

Lo que un evaluador de cualquiera de los tres marcos sondea en realidad es si tu resiliencia es real o de papel. Pedirán el BIA y luego preguntarán quién lo aprobó y cuándo se revisó por última vez. Pedirán tu último ejercicio y luego preguntarán qué falló y qué cambiaste como resultado, porque un ejercicio sin hallazgos es una señal de alarma, no un certificado de buena salud. Para las entidades DORA, pedirán el programa de pruebas y el registro de terceros y esperarán que ambos estén al día, no reconstruidos la semana anterior.

Los equipos que aprueban con calma son los que gestionan un único programa: un BIA, una cadena de incidentes que alimenta tanto la respuesta interna como la notificación regulatoria, un calendario de ejercicios que de verdad rompe cosas y un único mapeo de controles que les permite responder a tres reguladores desde la misma base de evidencia. Construye bien la columna vertebral de ISO 22301, acopla deliberadamente sobre ella las obligaciones de NIS 2 y DORA, y la frase que debería describir tus auditorías es: mapea una vez, audita tres.